Regelmäßige Überprüfungen und Revisionen

1) Zweck und Grundsätze

Periodische Überprüfungen und Revisionen (Periodic Reviews) sind ein geregelter Überprüfungszyklus, der die Relevanz der Richtlinien, die Richtigkeit der Zugriffe, die Wirksamkeit der Kontrollen und die Bereitschaft zur Prüfung bestätigt.

• Kalendarisch und berechenbar: Feste Fenster und Termine.
• Risikoorientiert: Prioritäten für Kritikalität und KRI.
• Automation-first: Maximum an Auto-Builds und Auto-Proofs.
• Evidence by design: Evidence wird automatisch und unveränderlich (WORM) generiert.
• One Owner: Jede Revision hat einen Besitzer, einen SLA und einen Eskalationsplan.

2) Arten von periodischen Überprüfungen (Portfolio)

3) Rollen und RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Jahreskalender (Beispielvorlage)

Monatlich: CCM-Kontrollen, DSAR-SLAs, Cloud Drift/Verschlüsselungsberichte, Waiver-Hygiene.
Vierteljährlich (Q1/Q2/Q3/Q4): IAM re-cert, Risk Register, DR-Übung, Audit dry-run, Retention/Delete.
Jährlich: vollständige Überprüfung der Richtlinien/Verfahren, VRM-Reviews kritischer Anbieter, BIA (Business Impact), Audit-/Zertifizierungsplan.

5) Prozess (SOP) einer Revision

1. Initiation: Revisionskarte (Umfang, Ziele, Kriterien, Termine, Besitzer).
2. Datenerfassung: Auto-Uploads/Dashboards, evidence Showcase, Samples.
3. Prüfungen und Tests: Checkliste, Pass/Fail, Streuung der Abweichungen.
4. SARA/Remediation: Gap-Liste mit Eigentümern und Fristen, Ausgleichsmaßnahmen.
5. Apruv und Fixierung: Lösungsprotokoll, Hash-Quittungen, WORM-Archiv.
6. Kommunikation: one-pager + Aufgaben im ITSM/GRC; Eskalation durch SLA.
7. Rückblick: Lektionen, Aktualisierung von Standards/Vorlagen.

6) Checklistenvorlagen

6. 1 Richtlinien/Verfahren

• Relevanz normativer Verweise und Begriffe
• Messbarkeit der Kontrollaussagen
• Verknüpfung mit SOP/Standards und CCM-Regeln
• Lokalisierungen/Addendums werden synchronisiert
• Changelog und Fassung, Einleitung des Ausschusses

6. 2 IAM re-cert

• Vollständige Liste der aktiven Rechte und Eigentümer
• SoD-Konflikte, Orphan-Accounts, JIT-Ausnahmen
• Nachweis des Entzugs/der Herabstufung von Rechten
• Vendora-Zugänge und SSO-Verbände
• Rezertifizierungsprotokoll und Verzugskennzahlen

6. 3 VRM

• Aktuelle SOC/ISO/PCI-Berichte, Scope und Ausnahmen
• SLA/Incidents/Period Credits
• Subprozessoren und Datenstandorte - keine Drift
• Gap-Liste und Status der Remediationen
• Exit-Plan und Bestätigung der Spiegelretenz

6. 4 Retention/Legal Hold

• TTL-Störungen = 0 kritisch
• Löschberichte + Hash-Zusammenfassung
• Active Legal Hold - Gründe, Daten, Eigentümer
• Spiegelretention bei Anbietern
• DSAR-Logik ungebrochen

6. 5 DR/BCP

• RTO/RPO-Test und Probenwiederherstellung
• Kommunikations-Playbooks und On-Call
• Ergebnisse der Übungen und CAPAs
• Anbieter haben teilgenommen/Bereitschaft bestätigt
• Dokumentiertes Post-Mortem

7) Kennzahlen und SLOs des Revisionsportfolios

On-time Review Rate:% der Revisionen, die rechtzeitig abgeschlossen wurden (Ziel ≥ 95%).
Evidence Readiness:% Revisionen mit einem vollständigen Satz von Artefakten (Ziel 100%).
CAPA On-time:% der geschlossenen SLA-Remediationen (nach Severity).
Repeat Findings: Anteil der wiederholten Kommentare in 12 Monaten (Trend ↓).
Access Hygiene: Anteil veralteter Rechte nach Re-Cert (Ziel ≤ 2%).
Vendor Certificate Freshness:% aktuelle Zertifikate bei kritischen Anbietern (Ziel 100%).
Audit-Ready Time: Zeit für die Sammlung des „Audit-Pakets“ nach der Revision (≤ 8 Stunden).

8) Dashboards (Mindestsatz)

Kalenderansicht: Revisionskarte nach Quartal mit SLA/Verspätung.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA: offen/überfällig, Besitzer, severity.
IAM Hygiene: orphan/SoD/JIT-Ausnahmen, Trends.
VRM Heatmap: Risiko-Score der Anbieter, Zertifikate, Vorfälle.
Retention & Hold: TTL-Verstöße, Löschvolumen, aktive Hold.
Audit Readiness: completeness „per Button“, Anker von Hash-Paketen.

9) Artefakte und Lagerung

Revisionsprotokoll (Agenda, Schlussfolgerungen, Entscheidungen, Eigentümer/Due).
Liste der Prüfungen/Stichproben und deren Ergebnisse (Pass/Fail).
Gap-Liste und CAPA mit Daten und Erfolgsmetriken.
Hash-Belege für Uploads und Berichte; WORM/Object Lock.
Aktualisierte Versionen von Richtlinien/Verfahren und Mapping für das Controlling.

10) Verwaltung von Ausnahmen (waivers)

Wird für jede identifizierte Lücke ausgestellt, wenn die Korrektur nicht rechtzeitig möglich ist.
Enthält Grund, Ausgleichsmaßnahmen, Ablaufdatum, Eigentümer/Plan.
Sichtbar im Dashboard; Auto-Eskalation 14/7/1 Tag vor Ablauf.

11) Integrationen

CCM/Compliance-as-Code: Prüfregeln der Kontrollen werden von auto bei Revision ausgelöst.
GRC: Revisionsregister, Findings, CAPAs, Waivers, SLAs und Reporting.
Evidence Storage: Automatische Archivierung aller Materialien mit Hash-Fixierung.
ITSM: Aufgaben und Eskalationen für Systembesitzer.
VRM: Hochziehen von Provider-/Zertifikatsstatus.
LMS: Kurse/Zertifizierungen bei Major-Änderungen nach der Revision.

12) Antipatterns

Revisionen „zum Ankreuzen“ ohne CAPA und Besitzer.
Mangel an Kalender und Vorhersehbarkeit → Verspätung und Feuermodus.
Manuelles Hochladen ohne Hash-Quittungen und WORM → die Kontroverse der Beweise.
Scope-Mix (Richtlinien ändern Anforderungen, aber SOPs/Kontrollen werden nicht aktualisiert).
„Ewige“ Waiver ohne Ablaufdatum und Entschädigung.
Kein Zusammenhang mit Risikoappetit/Ausschuss - Entscheidungen sind nicht skalierbar.

13) Reifegradmodell (M0-M4)

M0 Ad-hoc: unregelmäßige Überprüfungen, Berichte in Excel, keine Eigentümer.
M1 Geplant: Kalender und grundlegende Checklisten, Lagerung von Artefakten.
M2 Verwaltet: GRC-Register, Dashboards, SLA/Eskalationen, WORM-Archiv.
M3 Integriert: CCM/ascod, auto-evidence, dry-run audit by button.
M4 Continuous Assurance: prognostizierte KRIs, Auto-Umplanungen, End-to-End-Capability „Risiken → Revisionen → CAPAs“.

14) Verwandte Artikel wiki

KPIs und Compliance-Kennzahlen

Risikobasiertes Audit (RBA)

Kontinuierliche Compliance-Überwachung (CCM)

Aufbewahrung von Nachweisen und Unterlagen

Protokollierung und Audit Trail

Änderungsmanagement in der Compliance-Richtlinie

Due Diligence und Outsourcing-Risiken

Ausschuss für Risikomanagement und Compliance

Summe

Regelmäßige Überprüfungen und Audits verwandeln Compliance von einer „Problemreaktion“ in eine transparente Pipeline von Verbesserungen: ein fester Kalender, automatisierte Inspektionen, hochwertige Artefakte, zeitnahe CAPAs und eine vorhersehbare Bereitschaft zu Audits.